KSeF — moduł certyfikatów i uprawnień

Certyfikat KSeF potwierdza w systemie tożsamość firmy lub osoby. Przydaje się przede wszystkim do integracji z programami.¹ Może być imienny albo podmiotowy.¹ Wyjaśniamy, jak działa moduł certyfikatów i uprawnień (MCU), czym certyfikat różni się od tokenu KSeF i uprawnień oraz kiedy jest potrzebny przy fakturach offline.
Wnioski o certyfikat KSeF można było składać w MCU od 1 listopada 2025 r.²

Czym jest certyfikat KSeF i czym różni się od tokenu oraz uprawnień?

Certyfikat KSeF służy do uwierzytelnienia, token KSeF daje dostęp do systemu, a uprawnienia KSeF wyznaczają czynności dostępne osobie lub podmiotowi. Sam certyfikat nie nadaje uprawnień.
Przy pracy z fakturami są potrzebne dwa odrębne uprawnienia: do wystawiania i do przeglądania faktur³.

Według opisu Syriusz certyfikaty KSeF wprowadzono pod koniec 2025 roku, a zakończenie stosowania tokenów zapowiedziano na koniec 2026 roku.¹ Przygotowując dostęp do KSeF, warto oddzielić sposób uwierzytelnienia od zakresu uprawnień.
Początkowo tokeny miały działać do 31 grudnia 2026 r., lecz Ministerstwo Finansów zdecydowało o ich bezterminowym utrzymaniu⁴.

Czy w KSeF trzeba mieć certyfikat?

Certyfikat nie jest jedyną drogą do KSeF. To, czy będzie potrzebny, zależy od sposobu uwierzytelnienia i rodzaju wykonywanej pracy. Certyfikat typu 1 służy do uwierzytelniania, a typu 2 – do oznaczania faktur wystawianych offline.
Są więc dwa typy: typ 1 do uwierzytelniania oraz typ 2 do oznaczania faktur offline⁴.

Tabela pokazuje przeznaczenie obu typów certyfikatów KSeF.

Typ certyfikatu dobierz do czynności, które wykonujesz w KSeF. Tryb offline24 reguluje art. 106nda ustawy o VAT;
gdy przekazujesz taką fakturę poza KSeF, certyfikat służy do wygenerowania kodu weryfikacyjnego wystawcy⁵.

Jak uzyskać certyfikaty do KSeF?

W Aplikacji Podatnika KSeF 2.0 wniosek złożysz w części dotyczącej certyfikatów. W menu „Certyfikaty” wybierz „Wnioskuj o certyfikat”.⁶
Możliwość składania wniosków w Aplikacji Podatnika KSeF 2.0 udostępniono 1 lutego 2026 r.²

• Wniosek o certyfikat KSeF rozpoczniesz, wybierając „Wnioskuj o certyfikat” w menu „Certyfikaty”.⁶
• Nazwa certyfikatu KSeF powinna mieć od 5 do 50 znaków według instrukcji GOksięgowość.⁷
• Pobranie certyfikatów KSeF może według instrukcji GOksięgowość objąć jednocześnie od 1 do 10 certyfikatów.⁷

Po złożeniu wniosku otrzymasz certyfikat do wybranego zastosowania w KSeF. Będzie ważny najwyżej 2 lata od wytworzenia albo od wskazanej daty początku ważności⁴.

Ile trwa wydanie certyfikatu KSeF?

30 dni to według odpowiedzi Fakturowni okres ograniczenia generowania certyfikatów w KSeF, nie czas wydania pojedynczego certyfikatu.⁸
Nie należy więc traktować go jako czasu oczekiwania po złożeniu wniosku w Aplikacji Podatnika⁹.

Certyfikat KSeF ma określone zastosowanie. Token jest inną metodą dostępu, a uprawnienia wyznaczają czynności, które wolno wykonywać.

Do czego służy certyfikat KSeF przy uwierzytelnianiu i wystawianiu faktur offline?

Certyfikat KSeF typu 1 służy do uwierzytelniania podczas pracy online, a certyfikat typu 2 wykorzystuje się przy fakturach offline.¹ Uwierzytelnienie pozwala uzyskać dostęp do KSeF; oznaczanie faktur offline jest odrębnym zastosowaniem certyfikatu.
Faktura offline przekazana nabywcy poza KSeF, zanim trafi do systemu, wymaga dwóch kodów QR: „OFFLINE” i „CERTYFIKAT”¹⁰.

Tabela porównuje zastosowanie tokenu i certyfikatów w integracji programów Syriusz z KSeF. Obejmuje 3 rozwiązania: token, certyfikat typu 1 i certyfikat typu 2; Syriusz zapowiada obsługę typu 1¹.

Dane w tabeli: 1

Wybór tokenu lub certyfikatu zależy od trybu pracy i możliwości konkretnej integracji. Obsługa tokenów miała się zakończyć 31 grudnia 2026 r., ale Ministerstwo Finansów zdecydowało o ich bezterminowym utrzymaniu⁴.

Jak skonfigurować certyfikat KSeF w programie do fakturowania i nadać potrzebne uprawnienia?

Certyfikat KSeF skonfiguruj w programie, dodając wymagane pliki i klucz. Uprawnienia nadaj osobno osobie lub podmiotowi, który będzie pracować z fakturami. Certyfikat i klucz prywatny to dwa odrębne pliki: .crt oraz .key¹¹. Szkolenie KSeF przygotowuje zespół do pracy z fakturami i zarządzania uprawnieniami, które nadaje się niezależnie od konfiguracji certyfikatu.

• Klucz prywatny pozostaw na swoim urządzeniu i nie udostępniaj go innym. Podczas generowania certyfikatu powstaje zawierający go plik .key.⁷
• Certyfikat uwierzytelniający typu 1 wgraj do GOksięgowość jako plik .crt razem z plikiem .key i hasłem do klucza.⁷
• Certyfikat offline typu 2 możesz dodać w GOksięgowość, jeśli korzystasz z opcji „Podpis linku do weryfikacji wystawcy”. Jego dodanie jest opcjonalne.⁷
• Certyfikat w systemach Syriusz zainstaluj na każdym stanowisku, na którym będzie używany. Systemy Syriusz zapisują go lokalnie na komputerze.¹
• Uprawnienia KSeF nadaj stosownie do czynności danej osoby lub podmiotu. Wgranie certyfikatu do programu nie określa ich zakresu.
• Certyfikaty w e-Księgowość podłącz, aby program mógł automatycznie wysyłać i odbierać e-faktury z KSeF.¹² Po ich dodaniu program pobiera faktury automatycznie codziennie.¹²
• Faktury sprzed daty dodania certyfikatów pobierz ręcznie w e-Księgowość, wskazując zakres dat w funkcji „Pobierz z KSeF”.¹²

Przy konfiguracji zajmij się osobno plikami certyfikatu, ochroną klucza prywatnego, uprawnieniami i pobieraniem faktur.
Sprawdź uprawnienie do wystawiania faktur oraz uprawnienie do ich przeglądania, potrzebne przy pobieraniu³.

Jak odnowić lub unieważnić certyfikat KSeF w MCU?

Gdy zbliża się koniec ważności certyfikatu KSeF, zastąp go nowym. Certyfikat z ujawnionym kluczem unieważnij w MCU, a po zmianie zaktualizuj program, który go używa.
Certyfikat KSeF jest ważny maksymalnie 2 lata od wytworzenia lub wskazanej daty początku ważności⁴.

• Certyfikat przeznaczony do zastąpienia najpierw zidentyfikuj w MCU, żeby nie unieważnić certyfikatu używanego przez inną integrację.
• Nowy certyfikat KSeF wygeneruj do potrzebnego zastosowania, gdy obecny zbliża się do końca ważności.
• Certyfikat z ujawnionym kluczem unieważnij w MCU, aby nikt nie mógł się już nim posługiwać.
• Konfigurację programu zaktualizuj po zmianie certyfikatu: zastąp dane dotychczasowego certyfikatu danymi nowego.
• Uprawnienia KSeF przejrzyj osobno, jeśli wraz z certyfikatem zmienia się osoba lub podmiot wykonujący czynności w systemie.

Wymiana wymaga wygenerowania nowego certyfikatu i aktualizacji integracji. Unieważnienie wycofuje dotychczasowy certyfikat.

Dlaczego KSeF odrzuca certyfikat i co sprawdzić?

Certyfikaty KSeF wygenerowane wcześniej w systemie blokują w Fakturowni automatyczną konfigurację przez profil zaufany. Taki komunikat nie oznacza jeszcze, że KSeF odrzucił certyfikat.⁸ Według odpowiedzi Fakturowni w KSeF dopuszczona jest 1 para certyfikatów.⁸

Fakturownia wskazuje dwie metody poprawienia konfiguracji, gdy certyfikaty wygenerowano wcześniej:¹³

• Konfiguracja zaawansowana Fakturowni pozwala wgrać certyfikaty wygenerowane już w KSeF.⁸
• Dezaktywacja istniejących certyfikatów pozwala ponowić próbę automatycznej konfiguracji Fakturowni przez profil zaufany.⁸

Gdy konfiguracja przez profil zaufany się nie powiedzie, wgraj istniejące certyfikaty albo dezaktywuj je przed ponowną próbą.

Jak sprawdzić ważność certyfikatu KSeF i datę jego wygaśnięcia?

Ważność certyfikatu KSeF sprawdzisz na podstawie zapisanych w nim dat początku i końca ważności. Datę końcową porównaj z bieżącą.

• Datę początku ważności certyfikatu KSeF odczytaj z jego danych. Według instrukcji GOksięgowość certyfikat jest ważny przez 2 lata od ustawionej daty początkowej.^7,14
• Datę końca ważności certyfikatu KSeF odczytaj z danych tego samego certyfikatu, którego używa program.
• Status certyfikatu KSeF sprawdź osobno. Dzięki temu ustalisz, czy certyfikatu nie unieważniono przed datą wygaśnięcia.

O możliwości użycia certyfikatu decydują zarówno daty jego ważności, jak i status unieważnienia.

Ceny i warunki sprawdzone u źródeł: październik 2026.